Hat sich erledigt.
Ich habe es erst noch mit TreeResetNamedSecurityInfo versucht, was aber nicht funktioniert hat. Mit TreeFileObjectSetNamedSecurityInfo und dem Parameter tstReset scheint es aber zu klappen. Setzt einen ganzen Tree auf die übergebene DACL.